Claude Code-kwetsbaarheid: hoe een CLAUDE.md-bestand stilletjes uw gegevens kan stelen

De nieuwe ontdekking is niet dat Claude Code symlinks volgt — dat is gedocumenteerd en opzettelijk. Het nieuwe is de omzeiling van toestemming: de externe import-controle controleert het onopgeloste pad, de leesactie gebruikt het opgeloste pad, en de geheugenlader heeft nooit de symlink-resolutie fix gekregen die in twee eerdere CVEs wel op het machtigingssysteem van Claude Code is toegepast .

Reactie van Anthropic

Tego AI meldde het probleem in juli 2026 via HackerOne. Anthropic sloot het rapport als 'Informatief' — wat betekent dat het het niet als een beveiligingslek beschouwt onder het huidige dreigingsmodel .

Anthropics redenering: onder het dreigingsmodel van Claude Code is het 'vertrouw deze map'-dialoog de beveiligingsgrens. Het accepteren van dat dialoog verleent het project al brede lees-, bewerk- en uitvoerrechten. Tego AI betwist niet dat Anthropic dit model consequent toepast, maar stelt dat de bevinding desalniettemin belangrijk is omdat de data automatisch, stilletjes en buiten het medeweten van de gebruiker de machine verlaat .

Opmerkelijk genoeg is hetzelfde patroon van symlink versus beveiligingscontrole al twee keer eerder gerepareerd in het machtigingssysteem van Claude Code:

• CVE-2025-59829 (gerepareerd september 2025): omzeiling van weigeringsregels via symlinks in bestandsmachtigingen
• CVE-2026-25724 (gerepareerd januari 2026): hetzelfde patroon opnieuw, omzeiling van weigeringsregels via symlinks

Beide eerdere reparaties losten de symlink op voordat ze machtigingen controleerden — maar die reparatie is nooit toegepast op het codepad van de geheugenlader .

Groter patroon: Claude-ecosysteem en beveiliging van AI-codeertools

De onthulling van Tego AI is het tweede Claude-ecosysteem lek in een week. Op 14 juli 2026 onthulde Tego dat de Slack-integratie van Claude Tag geactiveerd kon worden door gewone @Claude-tekst in elk bericht, wat mogelijk ongeautoriseerde acties in een bedrijfsomgeving mogelijk maakte .

Naast het werk van Tego AI heeft Claude Code in ongeveer een jaar tijd minstens 28 CVEs verzameld, waaronder:

• Twee kritieke sandbox-ontsnappingen met CVSS 10.0: CVE-2026-39861 (sandbox-ontsnapping via symlink) en CVE-2026-25725 (sandbox-omzeiling via settings.json)
• CVE-2026-46406 (juni 2026): het /copy-commando schreef antwoorden naar een vast, voor iedereen leesbaar tijdelijk pad /tmp/claude/response.md, waardoor elke lokale gebruiker geheimen kon inzien
• Check Point Research (februari 2026): kritieke lekken (CVE-2025-59536, CVE-2026-21852) die remote code execution en diefstal van API-sleutels mogelijk maakten via kwaadaardige configuratiebestanden op repository-niveau

Onderzoek in de hele sector laat zien dat dit niet uniek is voor Anthropic:

• GhostApproval (Wiz, juli 2026): Symlink-lekken in zes AI-codeerassistenten (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) lieten een valstrik-repo de tool naar een gevoelig bestand laten schrijven terwijl de gebruiker goedkeurde om naar een onschadelijk bestand te schrijven
• SymJack (Adversa AI, mei 2026): Een enkele symlink-kaping die RCE bereikte in zes producten (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). De gebruiker keurt een bestandskopie goed; de kernel schrijft ergens anders
• TrustFall (Adversa AI, mei 2026): Door de repository gedefinieerde MCP-servers worden automatisch uitgevoerd zodra de gebruiker de mapvertrouwensprompt accepteert

De onderliggende architectuurspanning is consistent in de hele sector: AI-codeeragenten hebben brede bestandssysteem-, shell- en netwerktoegang nodig om nuttig te zijn — maar die verhoogde toegang is dezelfde bevoegdheid die een aanvaller nodig heeft. Elke sandbox-ontsnapping, padomzeiling en vertrouwensdialoog-omzeiling komt voort uit dezelfde uitdaging . Het aanvalsoppervlak krimpt niet; nieuwe functies voegen nieuwe vectoren sneller toe dan bestaande worden gerepareerd.